Empêcher le rendu des codes de caractères HTML dans la zone de texte

Question

Est-il possible d'afficher les codes de caractères HTML stockés dans un champ de texte dans SQL dans une zone de texte sans les afficher comme caractère approprié? je ne étais pas & pour apparaître comme & amp; (La façon dont il est stocké dans la table). Ou est-ce un moyen que je devrais stocker le HTML, donc je n'aurai pas besoin de m'inquiéter à ce sujet?

(site utilise PHP)

Answer 1

En PHP, vous pouvez utiliser la fonction htmlspecialchars (http://php.net/manual/en/function.htmlspecialchars.php):

<?php 
$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES); 
echo $new; 
?> 

et il rendra:

<a href='test'>Test</a> 

si vous voulez les décoder retour vous utilisez simplement la fonction htmlspecialchars_decode

<?php 
$str = '<p>this -&gt; &quot;</p>'; 

echo htmlspecialchars_decode($str); 

// note that here the quotes aren't converted 
echo htmlspecialchars_decode($str, ENT_NOQUOTES); 
?> 

Answer 2

Ce dont vous parlez s'appelle HTML Encoding; chaque langage moderne a une facilité dans sa bibliothèque, comme la fonction htmlspecialchars en PHP. Pour plus d'informations PHP, voir this SO question.

Vous devez également vous assurer que vous êtes correctement désinfecter les entrées, même contre plusieurs tours de décodage HTML; sinon, vous serez vulnérable aux attaques CSS (Cross Site Scripting).